Suponiendo una aplicación / sitio web donde se requiere confirmación por correo electrónico antes de iniciar sesión:
Si un usuario recién registrado intenta iniciar sesión, un flujo común es informarles que aún no han confirmado su dirección de correo electrónico y luego preguntar si desean reenviar la confirmación del correo electrónico, que es un proceso de dos pasos.
¿Hay problemas de seguridad por el simple hecho de enviar otro correo electrónico de confirmación (con el enlace) tan pronto como intentan y no pueden iniciar sesión?
La gente podría terminar siendo spam, pero dudo mucho más de lo que harían en el otro flujo si alguien intentara ser malicioso.